Acerca del contenido de seguridad de watchOS 4.1

En este documento se describe el contenido de seguridad de watchOS 4.1.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las revisiones o las versiones necesarias. Tienes una lista de las versiones más recientes en la página Actualizaciones de seguridad de Apple.

Para obtener más información sobre seguridad, consulta la página Seguridad de los productos de Apple. Las comunicaciones con Apple se pueden cifrar mediante la clave PGP de seguridad de los productos Apple.

Cuando es posible, los documentos de seguridad de Apple hacen referencia a los puntos vulnerables mediante un ID CVE.

watchOS 4.1

CoreText

Disponible para: todos los modelos de Apple Watch

Impacto: el procesamiento de un archivo de texto creado con fines malintencionados podría provocar el cierre inesperado de una aplicación

Descripción: se ha solucionado un problema de denegación de servicio mejorando la gestión de la memoria.

CVE-2017-13849: Ro de SavSec

Kernel

Disponible para: todos los modelos de Apple Watch

Impacto: una aplicación podría ejecutar código arbitrario con privilegios de kernel

Descripción: se ha solucionado un problema de memoria mejorando la gestión de la memoria.

CVE-2017-13799: Lufeng Li de Qihoo 360 Vulcan Team

Kernel

Disponible para: todos los modelos de Apple Watch

Impacto: una aplicación creada con fines malintencionados podría obtener información sobre la presencia y el funcionamiento de otras aplicaciones del dispositivo.

Descripción: una aplicación podía acceder a información sobre los procesos del sistema operativo sin límites. Este problema se ha solucionado limitando la velocidad.

CVE-2017-13852: Xiaokuan Zhang y Yinqian Zhang de la Universidad Estatal de Ohio, Xueqiang Wang y XiaoFeng Wang de la Universidad de Indiana Bloomington, y Xiaolong Bai de la Universidad Tsinghua

StreamingZip

Disponible para: todos los modelos de Apple Watch

Impacto: un archivo ZIP malicioso puede ser capaz de modificar zonas restringidas del sistema de archivos

Descripción: se ha solucionado un problema de gestión de las rutas mejorando la validación.

CVE-2017-13804: @qwertyoruiopz, en KJC Research Intl. S.R.L.

Wi-Fi

Ningún modelo del Apple Watch se vio afectado por esta vulnerabilidad

Impacto: un atacante en el rango Wi-Fi puede forzar una reutilización del nonce en clientes WPA de unidifusión y PTK (Key Reinstallation Attacks - KRACK)

Descripción: existía un problema lógico en la gestión de las transiciones de estado. Este problema se ha solucionado mejorando la gestión del estado.

CVE-2017-13077: Mathy Vanhoef del grupo imec-DistriNet en KU Leuven

CVE-2017-13078: Mathy Vanhoef del grupo imec-DistriNet en KU Leuven

Wi-Fi

Disponible para: Apple Watch Series 1 y Apple Watch Series 2

Impacto: un atacante en el rango Wi-Fi puede forzar una reutilización del nonce en clientes WPA de multidifusión y GTK (Key Reinstallation Attacks - KRACK)

Descripción: existía un problema lógico en la gestión de las transiciones de estado. Este problema se ha solucionado mejorando la gestión del estado.

CVE-2017-13080: Mathy Vanhoef del grupo imec-DistriNet en KU Leuven